OpenVPN jgħaddi iżda xejn ma jiċċirkola: sib is-saff fejn jaqa' l-pakkett

OpenVPN jgħid konness u l-ebda traffiku ma jiċċaqlaq, sentenza li tkopri mill-inqas ħames ħsarat mhux relatati. Li teditja r-regoli tal-firewall qabel ma tkun taf liema saff qed ifalli jimmultiplika l-magħrufa u jħalli konfużjoni lill-inġinier li jmiss. Aħdem minflok mill-proċess 'il barra, għax kull pass hawn taħt jew jitnaddaf stadju wieħed jew jidjieq fejn il-pakkett imut. L-ordni hija importanti hawn: qabda meħuda qabel ma tkun taf liema indirizz huwa marbut se tipprova xi ħaġa, iżda mhux dik li għandek bżonn.

Is-socket huwa jew marbut jew mhuwiex

Servizz li jirrapporta attiv xorta jista' jkun marbut ma' indirizz jew trasport li qatt ma ħsibt. Staqsi lis-socket innifsu: ss -lunp jelenka s-semmiegħa UDP u ss -ltnp jelenka t-TCP, u l-kolonna li tiswa' l-qari hija l-indirizz lokali, mhux l-istat.

Tweġiba vojta normalment tfisser waħda minn tliet affarijiet: il-proċess ħareġ wara li beda, għabba file ta' konfigurazzjoni ieħor, jew jisma' fuq indirizz differenti minn dak li qed jiġi mtella'.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Direttiva local tqabbad lis-semmiegħ ma' indirizz wieħed, allura klijent li jmur x'imkien ieħor fuq l-istess host jiġi rrifjutat filwaqt li s-servizz minn barra xorta jidher b'saħħtu. Isem ta' istanza jista' wkoll juri lejn file li qatt ma editjajt, li jiġri fuq hosts li jħaddmu żewġ profili spalla ma' spalla.

Aqbad il-pakkett ta' barra, mhux il-mina

Iffiltra fuq l-interface fiżika u l-port veru, bl-interface tiegħek sostitwita: tcpdump -ni eth0 udp port 1194. Pakketti ħerġin mingħajr xejn li jerġa' lura jindikaw dak li jinsab 'il fuq: filtrazzjoni tal-fornitur, apparat NAT, jew indirizz bogħod li mhuwiex dak li taħseb. Is-skiet fiż-żewġ direzzjonijiet jindika r-routing tal-klijent jew firewall lokali. Tweġibiet li jaslu mingħajr progress fil-mina jindikaw il-kanal tal-kontroll, jiġifieri nuqqas ta' qbil fil-kjavi jew fiċ-ċifrar, mhux il-filtrazzjoni.

Aqbad iż-żewġ direzzjonijiet u żomm il-file qasir. Qabda twila tifna t-tliet sekondi interessanti, u t-tweġiba kważi dejjem tinsab fl-ewwel skambju.

L-ewwel il-kontaturi, traċċa biss meta jigdbu

Ibda bil-kontaturi, għax ma jiswew xejn. Jew nft list ruleset jew iptables -L -n -v iwieġeb l-unika mistoqsija li tiswa' hawn: ir-regola qabdet? L-ordni tiddeċiedi r-riżultat, għax l-ewwel qabda tirbaħ, għalhekk DROP wiesgħa qabel ACCEPT aktar tard iħalli dak l-ACCEPT mejjet u għalhekk iż-żieda ta' regola tant rari tissewwi xi ħaġa.

Is-sjieda wkoll tnixxi n-nies. Il-kernel jattribwixxi l-pakketti ġġenerati lokalment lill-proċess li fetaħ is-socket, u OpenVPN normalment jaħdem bħala root, għalhekk regola marbuta ma' ID ta' utent ordinarju qatt ma tara t-traffiku tal-mina stess. Iċċekkja l-UID tas-sid qabel ma tiddeċiedi li r-regola hija ħażina.

Biss meta l-kontaturi jibqgħu ambigwi log jiswa' l-istorbju, u anki mbagħad biss għal porzjon dejjaq: regola iptables li tillimita r-rata u tqiegħed prefiss fuq il-linji tal-log tagħha, jew regola nftables li ġġorr meta nftrace set 1 waqt li nft monitor trace qed jaħdem. Traċċa ssemmi l-katina u r-regola li aċċettat jew telqet il-pakkett. Neħħi t-tnejn wara u żomm il-logging tal-payload barra.

Iċċekkja t-trasport ukoll. Servizz tal-firewall limitat għal TCP ma jgħid xejn dwar semmiegħ UDP fuq dak in-numru, għalhekk regola li tinqara sew xorta tista' tħalli kull pakkett.

Routing u t-triq lura

Pakkett aċċettat li xorta jisparixxi jeħtieġ li jkun eżaminat it-triq tad-destinazzjoni tiegħu. ip route get jirrapporta r-rotta magħżula għal indirizz wieħed, u l-filtrazzjoni tat-triq maqluba tista' tħalli tweġiba li tasal minn interface li t-tabella prinċipali qatt ma tagħżel. Is-sintomu jidher eżattament bħal tluq mill-firewall, għalhekk dan iċ-ċekk jiġi qabel regola NAT oħra.

Fuq gateway, iċċekkja l-forwarding u l-katina forward minflok il-katina input. Imbagħad ikkonferma li n-naħa l-bogħoda taf kif tilħaq l-indirizz tas-sors, għax triq ħierġa li taħdem mingħajr xejn li jerġa' lura hija skiet fiż-żewġ każijiet.

X'għandu jgħid ir-rekord

Għal kull tibdil, innota l-istadju li ttestjajt, il-prova li qrajt u l-valur tal-kontatur fuq iż-żewġ naħat tiegħu. Dik in-nota hija dik li tagħmel "issa jaħdem" jgħix fl-istħarriġ li jmiss.

Żewġ shortcuts iżommu n-nota onesta. Pakkett li qatt ma telaq mill-host ma setax jitħalla minn regola x'imkien ieħor, kemm tidher konvinċenti l-konfigurazzjoni tan-naħa l-bogħoda. Pakkett li ħareġ u reġa' lura jċaqlaq il-mistoqsija 'l fuq mis-saff tan-netwerk, fejn il-kontaturi tal-firewall m'għandhomx aktar x'jgħidu lilek.